Скрытый дефект в ноутбуках и настольных компьютерах Windows позволяет несанкционированно войти в систему (кража личных данных)

В новом отчете ERNW, немецкой компании, занимающейся исследованиями в области безопасности, подробно описана уязвимость в Windows Hello for Business - системе аутентификации без пароля от Microsoft. Исследование, являющееся частью проекта, финансируемого Федеральным управлением по информационной безопасности Германии (BSI), демонстрирует, как злоумышленники, имеющие предварительный доступ к устройству, могут использовать конструкцию системы для совершения кражи личных данных.

Эта атака, получившая название "Подмена лица", использует способ обработки биометрических данных в Windows Hello - вместо того, чтобы использовать биометрические данные пользователя для прямой аутентификации, система использует их для разблокировки криптографического ключа, хранящегося в системе. Исследователи ERNW обнаружили, что злоумышленник с правами администратора может получить доступ к базе данных, связывающей личность пользователя с его сохраненным биометрическим шаблоном, и манипулировать ею.

В ходе экспериментальной атаки исследователи успешно поменяли местами идентификаторы двух зарегистрированных пользователей. Эта подмена полностью обманула систему; злоумышленник мог сесть перед камерой компьютера, и Windows Hello использовала бы его лицо, чтобы предоставить ему доступ к учетной записи жертвы, включая все ресурсы корпоративной сети, файлы и данные.

Говоря простым языком, на любом компьютере под управлением Windows (с Windows Hello) с несколькими пользовательскими профилями этот дефект безопасности позволяет любому человеку с административной учетной записью украсть личные данные других пользователей в системе.

ERNW заявляет, что сообщила о своих выводах компании Microsoft, но подозревает, что фундаментальное исправление маловероятно, поскольку для этого потребуется пересмотреть архитектуру системы. В отдельном инциденте ERNW сообщила о критическом дефекте в системах Linux, который позволил злоумышленникам получить полный доступ к этим системам около двух недель назад.